由前兩節的鋪墊，我們已經知道如何獲取本地適配器的信息了，接下來我們來學習一下如何打開適配器並捕獲數據包，聽起來相當誘惑，那么咱們立刻進入主題吧！在貼源碼之前先介紹一個將要用到的很重要的函數--pcap_open()，下面是pcap_open()在remote-ex.h中的聲明：
pcap_t *pcap_open(const char *source, int snaplen, int flags, int read_timeout, struct pcap_rmtauth *auth, char *errbuf);
第一個參數不用多說，它表示的是設備的名稱。在獲取適配器鏈表后，通過返回數據域name即可知道設備的名稱。
第二個參數制定要捕獲數據包中的哪些部分。技術文檔中介紹說，在一些操作系統中，驅動可以被配置成只捕獲數據包的初始化部分，它的好處就是可以減少應用程序間復制數量的量，從而提高捕獲效率。下面將要給出的實例程序中設為65535。我們知道對於使用以太網的局域網來說，最大傳輸單元為1500字節，那么設為65535則能保證收到完整的數據包。
第三個參數是最重要的一個值，它用來指示適配器是否需要設置成混雜模式，這里引用一下技術文檔中對設置混雜模式的說明：
一般情況下，適配器只接收發給它自己的數據包， 而那些在其他機器之間通訊的數據包，將會被丟棄。 相反，如果適配器是混雜模式，那么不管這個數據包是不是發給我的，我都會去捕獲。也就是說，我會去捕獲所有的數據包。 這意味着在一個共享媒介(比如總線型以太網)，WinPcap能捕獲其他主機的所有的數據包。 大多數用於數據捕獲的應用程序都會將適配器設置成混雜模式，所以，我們也會在下面的范例中，使用混雜模式。
它的意思就是說設置混雜模式可以捕獲到所有經過適配器的數據包，不論是不是發給機器本身的。PCAP_OPENFLAG_PROMISCUOUS這個值就是設置成混雜模式的意思。
第四個參數表示的是讀取數據的超時時間，單位是毫秒。意思就是說會在read_timeout時間內對適配器的讀取操作進行響應，不管有沒有讀到數據。這里有兩個特殊的值需要說明一下，如果將時間設置為0意味着沒有超時，那么如果沒有數據到達的話，讀操作就永遠不會返回；如果設置為-1則恰恰相反，不論有沒有讀到數據都會立即返回。
第五個參數之前提到過，它表示的是連接遠程用戶的驗證信息，由於我們不需要連接到遠程用戶，這里置為NULL。
第六個參數是錯誤信息緩沖，如果該函數在調用過程中出錯則會將出錯信息保存在緩沖中。
函數的返回值是一個pcap_t的指針類型，查看聲明處我們可以發現pcap_t實際上是pcap結構體，而文檔上說明它是一個已打開的捕捉實例的描述符。這個結構體對用戶來說是不透明的（我們查看pcap的聲明處是找不到的），它通過wpcap.dll提供的函數，維護了它的內容。
下面我們來看一下這個程序的代碼！
#define HAVE_REMOTE
#include <pcap.h>
/* packet handler 函數原型 */
void packet_handler(u_char *param, const struct pcap_pkthdr *header, const u_char *pkt_data);
int main()
{
pcap_if_t *alldevs;
pcap_if_t *d;
int inum;
int i=0;
pcap_t *adhandle;
char errbuf[PCAP_ERRBUF_SIZE];
/* 獲取本機設備列表 */
if (pcap_findalldevs_ex(PCAP_SRC_IF_STRING, NULL, &alldevs, errbuf) == -1)
{
fprintf(stderr,"Error in pcap_findalldevs: %s\n", errbuf);
exit(1);
}
/* 打印列表 */
for(d=alldevs; d; d=d->next)
{
printf("%d. %s", ++i, d->name);
if (d->description)
printf(" (%s)\n", d->description);
else
printf(" (No description available)\n");
}
if(i==0)
{
printf("\nNo interfaces found! Make sure WinPcap is installed.\n");
return -1;
}
printf("Enter the interface number (1-%d):",i);
scanf("%d", &inum);
if(inum < 1 || inum > i)
{
printf("\nInterface number out of range.\n");
/* 釋放設備列表 */
pcap_freealldevs(alldevs);
return -1;
}
/* 跳轉到選中的適配器 */
for(d=alldevs, i=0; i< inum-1 ; d=d->next, i++);
/* 打開設備 */
if ( (adhandle= pcap_open(d->name, // 設備名
65535, // 65535保證能捕獲到不同數據鏈路層上的每個數據包的全部內容
PCAP_OPENFLAG_PROMISCUOUS, // 混雜模式
1000, // 讀取超時時間
NULL, // 遠程機器驗證
errbuf // 錯誤緩沖池
) ) == NULL)
{
fprintf(stderr,"\nUnable to open the adapter. %s is not supported by WinPcap\n", d->name);
/* 釋放設備列表 */
pcap_freealldevs(alldevs);
return -1;
}
printf("\nlistening on %s...\n", d->description);
/* 釋放設備列表 */
pcap_freealldevs(alldevs);
/* 開始捕獲 */
pcap_loop(adhandle, 0, packet_handler, NULL);
return 0;
}
/* 每次捕獲到數據包時，libpcap都會自動調用這個回調函數 */
void packet_handler(u_char *param, const struct pcap_pkthdr *header, const u_char *pkt_data)
{
struct tm *ltime;
char timestr[16];
time_t local_tv_sec;
/* 將時間戳轉換成可識別的格式 */
local_tv_sec = header->ts.tv_sec;
ltime=localtime(&local_tv_sec);
strftime( timestr, sizeof timestr, "%H:%M:%S", ltime);
printf("%s,%.6ld len:%d\n", timestr, header->ts.tv_usec, header->len);
}
打開設備后我們就可以進行捕獲了，這里我們用到的函數是pcap_loop()，下面是pcap_loop()函數的聲明：
int pcap_loop ( pcap_t * p,
int cnt,
pcap_handler callback,
u_char * user
)
引用一下文檔里面對於pcap_loop()函數的介紹：
Collect a group of packets.
pcap_loop() is similar to pcap_dispatch() except it keeps reading packets until cnt packets are processed or an error occurs. It does not return when live read timeouts occur. Rather, specifying a non-zero read timeout to pcap_open_live() and then calling pcap_dispatch() allows the reception and processing of any packets that arrive when the timeout occurs. A negative cnt causes pcap_loop() to loop forever (or at least until an error occurs). -1 is returned on an error; 0 is returned if cnt is exhausted; -2 is returned if the loop terminated due to a call to pcap_breakloop() before any packets were processed. If your application uses pcap_breakloop(), make sure that you explicitly check for -1 and -2, rather than just checking for a return value < 0.
大致就是說pcap_loop()函數是用來捕獲一組數據分組的。pcap_loop()函數跟pcap_dispath()函數很類似，唯一不同之處就是pcap_loop()會一直讀數據直到cnt數據被處理或者出現錯誤。不論讀取時間是否超時它都不返回。當然有一種特殊情況，就是在調用pcap_open_live()函數時指定非0的讀取超時時間，調用pcap_dispath()函數可以在超時發生時對讀到的數據進行接收和處理。將cnt設為正數可以使pcap_loop()一直循環（或至少到錯誤發生之前）。返回-1則出錯；返回0則說明cnt被耗盡；返回-2則是由於在數據被處理之前調用pcap_breakloop()來中斷循環。如果你的應用程序使用了pcap_breakloop()函數，你需要對返回值-1和-2進行詳細的檢查，而不是只檢查<0的情況。（如果翻譯有誤還請指正！！！）
文檔里說得很詳細，看得也是一頭霧水，也不知道究竟在說些什么。簡單來講就是說，pcap_loop()只有當cnt數據包被捕獲時才會返回，即它會在一小段時間內阻塞網絡的利用。pcap_loop()函數的第三個參數很重要，它是一個回調函數的函數指針，即pcap_loop()函數返回時會自動調用這個回調函數。這個回調函數的參數類型是規定好的：
typedef void (*pcap_handler)(u_char *, const struct pcap_pkthdr *,
const u_char *);
這個程序當中我們只用到了第二個參數，將每一個數據包的時間戳和長度從它的首部當中解析出來，並打印在屏幕上。細節的東西就不贅述了，看一下運行的結果：
輸入1並按回車，開始捕獲數據並打印：
